1

Есть такой код на MASM32:

.386
.model flat, stdcall
option casemap:none
includelib \masm32\lib\kernel32.lib
ExitProcess proto: DWORD

.code
    start:
        push DWORD PTR 2
        push DWORD PTR 3
        call AddDigs
        mov ecx, [esp - 4];

        invoke ExitProcess, 0

        AddDigs proc
            mov eax, [esp + 8]
            add eax, [esp + 4]
            ret 8
        AddDigs endp
    end start

Я хочу разобраться, что происходит со стеком при вызове этой процедуры и хочу получить адрес возврата, который хранился в стеке.

Сначала мы кладем на стек 2, регистр ESP явно указывает на это число. Затем кладем туда число 3, оно ложится на вершину, и теперь двойка находится по адресу [esp - 4]. После выполнения инструкции call на стек помещается адрес возврата 0040100F, а числа 2 и 3 находятся теперь по адресам [esp - 8] и [esp - 4] соответственно. Будем считать, что в процедуре вместо ret 8 написано ret, т.е. мы просто снимаем со стека адрес возврата и переходим в отладчике на следующую строчку после call, а мусор остается в стеке. Как в этом месте получить значение адреса возврата?

Если сразу после вызова call выполнить инструкцию mov ecx, [esp - 4], то в регистре ecx окажется число 2, а инструкция mov ecx, [esp - 8] помещает туда число 3. Почему так? Ведь двойка находится дальше от вершины стека, чем тройка, и поэтому чтобы добраться до нее, надо отнять от вершины стека не 4, а 8.

Когда мы снимаем со стека адрес возврата, регистр esp увеличивается на 4, потому что стек растет в сторону уменьшения адресов. Значит, чтобы добраться до адреса возврата, который только что лежал на вершине, от адреса вершины надо отнять 4. Почему же вместо адреса возврата оттуда вытаскиваются числа?

Олли дебагер

На второй картинке программа, где в процедуре вместо ret 8 написано просто ret. В окне стека видно, как в сторону увеличения адресов лежат последовательно числа 3 и 2. То есть адрес возврата находится выше и не виден в этом окне? Кажется, получить его обратно все-таки удалось, но все равно расскажите побольше теории обо всем этом.

Олли2

1 ответ 1

2

Рассмотрим изменение состояния стека по шагам.

Пусть начальное значение esp == X. Состояние стека перед вызовом функции (текущее значение esp указываем стрелочкой):

-> X: YYYYYYYY ; в вершине стека что-то лежит, не важно что.

После команды push DWORD PTR 2 esp уменьшается на 4, по новому адресу, лежащему в esp, записывается 2:

-> X-4: 2
   X-0: YYYYYYYY

После команды push DWORD PTR 3 esp снова уменьшается на 4, по адресу в esp записывается 3:

-> X-8: 3
   X-4: 2
   X-0: YYYYYYYY

После вызова call AddDigs esp уменьшается на 4, по адресу esp кладется адрес возврата:

-> X-0Ch: RETADDR
   X-08h: 3
   X-04h: 2
   X-00h: YYYYYYYY

При выходе из процедуры по команде ret 8 из стека извлекается адрес возврата, esp увеличивается на на 4, после этого esp увеличивается на значение операнда ret (на 8):

   X-0Ch: RETADDR
   X-08h: 3
   X-04h: 2
-> X-00h: YYYYYYYY

Таким образом получается, что по адресу esp-4 лежит 2, по адресу esp-8 лежит 3, по адресу esp-0Ch (esp-12) - адрес возврата.

2
  • А что будет, если перед выполнением ret положить на стек какой-то другой адрес? Подмена адреса возврата и выполнение произвольного участка кода?
    – typemoon
    7 ноя 2015 в 15:06
  • @typemoon, да, именно так. Но проще не добавлять что-то, а изменить уже лежащий там адрес возврата.
    – insolor
    7 ноя 2015 в 15:09

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.